创建用户组并授权
操作场景
如果企业中不需要每个人都注册账号,则可以由企业的管理员注册一个账号,在这个账号下创建用户组并分配权限,然后将创建的IAM用户根据不同的职能加入到不同的用户组中,分发给企业的人员使用。关于账号和IAM用户的概念,详情请参见:IAM基本概念。
本章节以A公司Company-A使用IAM创建用户组并授权为例,帮助您快速了解,企业如何使用IAM完成服务权限的配置。
操作流程
操作步骤 |
说明 |
---|---|
注册华为账号并完成实名认证。 |
|
完成创建一个用户组,授权的最小单位是用户组。 |
|
给用户组授予策略或角色,后续加入用户组的用户可以获得相应的权限。 |
准备工作
如果您已有一个华为账号,请跳到步骤一。如果您还没有华为账号,请参考以下步骤创建。
- 打开https://www.huaweicloud.com/,单击“注册”。
- 根据提示信息完成注册,详细操作请参见“注册华为账号并开通华为云”。
注册成功后,系统会自动跳转至您的个人信息界面。
- 参考“企业实名认证”完成企业账号实名认证。
因为统一身份认证服务为免费服务,因此无需为账号充值。
步骤一:创建用户组
- A公司管理员,使用注册的华为账号登录华为云。
图1 登录华为云
- A公司管理员进入华为云“控制台”。
图2 进入控制台
- 在“控制台”页面,鼠标移动至右上方的用户名,在下拉列表中选择“统一身份认证”。
图3 进入统一身份认证
- 在统一身份认证服务,左侧导航窗格中,单击“用户组”>“创建用户组”。
图4 创建用户组
- 在“创建用户组”界面,输入“用户组名称”为“开发人员组”。
用户组名称只能包含中文、大小写字母、数字、空格或特殊字符(-_)。图5 输入用户组信息
- 单击“确定”,完成用户组创建。
返回用户组列表,创建成功的用户组“开发人员组”将会展示在用户组列表中。
步骤二:给用户组授权
A公司的开发人员需要使用的云服务为ECS和OBS,需要为“开发人员组”授予这两个服务的管理员权限。如需查看所有云服务的系统权限,请参见:系统权限。
- 管理员确定该用户组中的用户所需的权限。
通过查看系统权限,需要设置的权限如表1所示。其中“权限作用范围”由该服务的物理部署位置决定。
- 区域项目级服务:如果在某个区域的项目中设置权限,则权限只在该项目中生效。例如:选择权限仅在区域的项目“华北-北京四”生效,则IAM用户将无权访问其他区域项目中的资源。
- 全局服务:全局服务部署时不区分区域,访问全局服务不需要切换区域。例如:授予对象存储服务(OBS)的权限后,IAM用户可以访问所有区域项目中的OBS资源。
- 在用户组列表中,单击新建用户组“开发人员组”右侧的“授权”。
图6 授权
- 设置区域项目级服务的权限。
- 由表1可知,ECS服务为区域项目级服务。勾选需要授予用户组的项目级服务权限,单击“下一步”。
图7 勾选所需权限
- 选择授权范围方案为“指定区域项目资源”,并选择“华北-北京四”,单击“确定”。
设置完成后,开发人员组仅在“华北-北京四”有访问权限,访问其它区域将提示没有权限。
图8 指定权限生效的区域
- 由表1可知,ECS服务为区域项目级服务。勾选需要授予用户组的项目级服务权限,单击“下一步”。
- 在用户组列表中,单击“开发人员组”右侧的“授权”。
图9 授权
- 设置全局服务的权限。
- 勾选需要授予用户组的全局服务权限“OBS OperateAccess”,单击“下一步”。
图10 勾选OBS OperateAccess
- 选择授权范围方案为“全局服务资源”,单击“确定”。
图11 指定权限生效的区域
设置权限完成后,单击用户组“开发人员组”的名称,在授权记录页签下可以查看到已授予的权限。
授予OBS相关的权限后,大概需要等待15~30分钟策略才能生效。
- 勾选需要授予用户组的全局服务权限“OBS OperateAccess”,单击“下一步”。